KÀra lÀsare, först och frÀmst vill jag pÄpeka att som boende i Tyskland beskriver jag frÀmst situationen i detta land. Kanske ser situationen helt annorlunda ut i ditt land.
Den 17 december 2019 publicerades information om en kritisk sÄrbarhet i produktlinjerna Citrix Application Delivery Controller (NetScaler ADC) och Citrix Gateway, som allmÀnt kallas NetScaler Gateway, pÄ sidan Citrix Knowledge Center. Vidare upptÀcktes sÄrbarheten Àven i SD-WAN-linjen. SÄrbarheten pÄverkade alla versioner av produkterna frÄn och med 10.5 och upp till den aktuella versionen 13.0 och möjliggjorde för en obehörig angripare att köra skadlig kod i systemet, vilket i praktiken gjorde NetScaler till en plattform för vidare attacker mot det interna nÀtverket.
Samtidigt som informationen om sÄrbarheten publicerades, publicerade Citrix rekommendationer för att minska riskerna (Workaround). FullstÀndig ÄtgÀrd av sÄrbarheten lovades först i slutet av januari 2020.
Kritisiteten av denna sÄrbarhet (CVE-2019-19781) har . Enligt pÄverkar sÄrbarheten över 80 000 företag vÀrlden över.
Möjlig reaktion pÄ nyheten
Som en ansvarsfull person trodde jag att alla IT-specialister som har produkter frÄn NetScaler i sin infrastruktur skulle agera pÄ följande sÀtt:
- snabbt implementera alla rekommendationer för riskminimering angivna i artikel CTX267679.
- kontrollera brandvÀggens instÀllningar, vad gÀller tillÄten trafik frÄn NetScaler till det interna nÀtverket.
- rekommendera IT-sÀkerhetsadministratörer att vara uppmÀrksamma pÄ "ovanliga" försök till Ätkomst till NetScaler och blockera dem vid behov. Jag pÄminner om att NetScaler vanligtvis ligger i DMZ.
- utvÀrdera möjligheten att tillfÀlligt koppla bort NetScaler frÄn nÀtverket tills man fÄr mer information om problemet. Under för- och efter julledigheten, semestrar osv. skulle detta kanske inte vara sÄ smÀrtsamt. Dessutom har mÄnga företag en alternativ Ätkomst via VPN.
Vad hÀnde sedan?
TyvÀrr, som senare ska visa sig, ignorerades de ovan beskrivna stegen, som Àr ett standardtillvÀgagÄngssÀtt, av de flesta.
MÄnga IT-experter ansvariga för Citrix-infrastrukturen fick veta om sÄrbarheten först den 13 januari 2020. . De insÄg det först nÀr ett enormt antal system under deras ansvar hade blivit komprometterade. Absurditeten i situationen var sÄdan att de nödvÀndiga exploiteringarna helt lagenligt kunde .
Jag trodde av nÄgon anledning att IT-specialister lÀser utskick frÄn tillverkarna av systemen de ansvarar för, kan anvÀnda Twitter, följer ledande experter inom sitt omrÄde och mÄste vara medvetna om aktuella hÀndelser.
Faktum Àr att i mer Àn tre veckor har mÄnga kunder till Citrix helt ignorerat tillverkarens rekommendationer. Och Citrix-kunder inkluderar praktiskt taget samtliga stora och medelstora företag i Tyskland samt nÀstan alla statliga myndigheter. Framför allt drabbades de statliga strukturerna av sÄrbarheten.
Men det finns ÀndÄ saker att göra.
De vars system har blivit komprometterade behöver göra en fullstÀndig ominstallation, inklusive byte av TSL-certifikat. Det Àr möjligt att de kunder som förvÀntade sig mer aktiva ÄtgÀrder frÄn Citrix angÄende den kritiska sÄrbarheten nu pÄ allvar övervÀger alternativ. Man mÄste erkÀnna att Citrix reaktion inte inger nÄgot större förtroende.
Det finns fler frÄgor Àn svar.
Det vÀcker frÄgor om vad de mÄnga partners till Citrix, platinapartner och guldpartner, har sysslat med. Varför kom nödvÀndig information först den tredje veckan 2020 pÄ sidorna hos vissa Citrix-partners? Det Àr uppenbart att Àven de högt betalda externa konsulterna har sovit under denna farliga situation. Jag vill inte sÄra nÄgon, men partnerns uppgift Àr först och frÀmst att förebygga uppkommande problem, snarare Àn att erbjuda = sÀlja hjÀlp för att lösa dem.
Faktum Àr att denna situation har visat den verkliga statusen inom IT-sÀkerheten. SÄvÀl medarbetare i IT-avdelningar som konsulter frÄn Citrix-partners bör inse en sanning: om det finns en sÄrbarhet, mÄste den ÄtgÀrdas. Och en kritisk sÄrbarhet mÄste ÄtgÀrdas omedelbart!
KĂ€lla: habr.com
